Nhiều tổ chức vẫn có nhật ký từ máy chủ, ứng dụng, tường lửa và dịch vụ đám mây, nhưng chỉ nhận ra giá trị của chúng sau khi sự cố xảy ra. Nhật ký không được thu thập đúng cách có thể thiếu thời gian, thiếu ngữ cảnh hoặc bị ghi đè quá sớm. Khi đó, đội ngũ bảo mật rất khó biết kẻ tấn công đã vào từ đâu, làm gì và còn để lại quyền truy cập nào. Bắt đầu từ câu hỏi cần trả lời Không nên thu thập mọi loại dữ liệu một cách thiếu chọn lọc. Hãy xác định trước các câu hỏi điều tra quan trọng, chẳng hạn: tài khoản nào đăng nhập thất bại liên tiếp, ai vừa được cấp quyền quản trị, máy nào kết nối đến dịch vụ bất thường, hoặc dữ liệu nào bị tải xuống với khối lượng khác lệ thường. Từ đó, ưu tiên các nhóm sự kiện sau: - Đăng nhập thành công và thất bại, thay đổi mật khẩu, thay đổi phương thức xác thực. - Tạo, xóa hoặc nâng quyền tài khoản. - Thay đổi cấu hình tường lửa, máy chủ, ứng dụng và chính sách bảo mật. - Truy cập dữ liệu nhạy cảm, tải xuống hàng loạt hoặc chia sẻ ra ngoài. - Cài đặt phần mềm, tạo tiến trình bất thường và kết nối mạng đáng chú ý. Chuẩn hóa trước khi phân tích Nhật ký từ các hệ thống khác nhau thường dùng định dạng và múi giờ khác nhau. Hãy thống nhất thời gian, tên người dùng, địa chỉ thiết bị, mã sự kiện và mức độ nghiêm trọng. Đồng bộ đồng hồ trên máy chủ cũng rất quan trọng; nếu thời gian lệch nhau, việc dựng lại diễn biến sự cố sẽ trở nên thiếu chính xác. Một doanh nghiệp nhỏ chưa nhất thiết phải mua ngay hệ thống phân tích phức tạp. Có thể bắt đầu bằng việc chuyển nhật ký quan trọng về một nơi tập trung, giới hạn quyền truy cập, đặt thời gian lưu giữ phù hợp và tạo cảnh báo cho vài hành vi có rủi ro cao. Ví dụ, nếu một tài khoản thông thường vừa được cấp quyền quản trị rồi ngay sau đó thực hiện nhiều lần tải dữ liệu, hệ thống nên tạo cảnh báo để nhân sự phụ trách kiểm tra. Đừng biến cảnh báo thành tiếng ồn Cảnh báo quá nhiều sẽ khiến người xử lý bỏ qua cả tín hiệu quan trọng. Mỗi cảnh báo nên nêu rõ điều gì đã xảy ra, tài sản liên quan, mức độ ưu tiên và bước kiểm tra tiếp theo. Sau một thời gian, hãy xem lại các cảnh báo thường xuyên bị bỏ qua để điều chỉnh ngưỡng hoặc bổ sung điều kiện loại trừ hợp lý. Bảo vệ chính nhật ký Nhật ký là bằng chứng điều tra nên không được để người quản trị thông thường tùy ý sửa hoặc xóa. Nên phân tách quyền đọc và quyền quản lý, mã hóa khi truyền và khi lưu, đồng thời lưu một bản ở khu vực khó bị ảnh hưởng nếu máy chủ chính bị xâm nhập. Không ghi trực tiếp mật khẩu, khóa bí mật hoặc toàn bộ dữ liệu cá nhân vào nhật ký; chỉ lưu mã tham chiếu cần thiết cho việc điều tra. Cuối cùng, hãy kiểm thử quy trình. Thực hiện một số thao tác an toàn như đăng nhập sai nhiều lần trên tài khoản thử nghiệm, thay đổi quyền của một tài khoản mẫu hoặc tải một tập tin kiểm tra. Xác nhận rằng sự kiện được ghi nhận, cảnh báo đến đúng người và quy trình xử lý có thể hoàn tất. Nhật ký chỉ thực sự hữu ích khi giúp tổ chức phát hiện sớm, giải thích được chuyện đã xảy ra và hành động kịp thời.